다양한 CRL 파일에 대한 SSL 인증서 확인

Question

여러 인증서 파일이 제공됩니다. "cert1.crt", "cert2.crt"등 여러 개의 CRL 목록, "list1.crl", "list2.crl"등이 있습니다. rootCA 또는 다른 유형의 파일은 제공되지 않습니다. 내 임무는 취소되지 않은 인증서를 찾는 것입니다. "확인"명령에 대한 광범위한 검색에도 불구하고 나는 적어도 단서를 제공 할 명령이나 절차를 찾지 못했습니다. 결국, 나는 각각

for((i=1;i<9;i++)) 
do 
echo $i 
fileIn="crl"$i".crl" 
#serial is manually c/p from each .crt file 
serial="1319447396" 
OUTPUT="$(openssl crl -in $fileIn -noout -text | grep $serial)" 
echo $OUTPUT 
done 

내가 수동으로 한 번에 하나를 할 수있는이 방법 파일가 .crt 나를 수동으로 일련 번호를 테스트 할 수 있도록 일부 bash는 스크립트 곡예 비행을 관리하지만, 작은 만 작동합니다 파일 수 (현재 9 개). 수십 개의 파일로 인해 귀찮고 비효율적 일 수 있습니다. 100+ 이상하면 불가능합니다.

.crl에 대한 .crt의 유효성을 검사하는 "스마트 한"방법이 궁금합니다. 아니면 적어도 각 .crt를 수동으로 확인할 필요가 없도록 스크립트를 작성하는 방법이 있습니까? 지금은 스크립팅 지식을 뛰어 넘습니다. 이런 일이 존재하는 경우

그래서 의사에, 나는 흥분 될 것이다 : detailed in this guide와 같이 일반적으로

openssl x509 -verify cert1.cert -crl_list list8.crl 

Answer 1

는, 그래, 각 인증서는 CRL에 대해 확인합니다.

그러나 사실 각 crl은 해지 된 인증서 일련 번호의 간단한 목록입니다.

openssl crl -inform DER -text -noout -in mycrl.crl 

CRL을 Asuming하는 (필요에 따라 적응) DER 형태 인 : CRL에 포함
목록으로 확장 될 수있다.

openssl crl -inform DER -text -noout -in mycrl.crl > mycrl.crl.txt 

아웃 된 파일 만 Serial Number: 라인 줄일 수 :

1. 처럼, 텍스트 파일로 각 (모든) CRL을 확장합니다. 한 호출

   mycrt=$(openssl x509 -in mycrt.com.crt -serial -noout) 
   mycrt=${mycrt#*=} 
   

2. 단계 한 (하나는 인증서 일치하는 경우 해지)에서 모든 텍스트 파일의 일련 번호를 grep을

3. 는 인증서의 텍스트 확장에서 일련 번호를 가져옵니다 grep을합니다 :

   if grep -rl "$mycrt" *.crl.txt 2>/dev/null; then 
       echo "the certificate has been revoked" 
   fi 
   

전체 스크립트를

#!/bin/bash 

# Create (if they don't exist) files for all the crl given. 
for crl in *.crl; do 
    if [[ ! -e "$crl.txt" ]]; then 
    openssl crl -inform DER -text -noout -in "$crl" | 
     awk -F ': ' '/Serial Number:/{print $2}'> "$crl.txt" 
    fi 
done 

# Process all certificates 
for crt in *.crt; do 
    mycrt=$(openssl x509 -in "$crt" -serial -noout) 
    mycrt=${mycrt#*=} 
    if grep -rl "$mycrt" *.crl.txt; then 
     echo "Certificate $crt has been revoked" 
    fi 
done 

Answer 2

마지막으로 최적이 아닌 방식으로이 문제를 해결할 수 있었지만 bash 지식은 훨씬 적습니다.

#!/bin/bash 

for((j=1;j<10;j++)) 
do 
indicator=0 
cert="cert"$j".crt" 
for((i=1;i<9;i++)) 
do 
infile="crl"$i".crl" 
SERIAL="$(openssl x509 -noout -text -in $cert | grep Serial | cut -d 'x' -f 2 | cut -d ')' -f 1)" 
OUTPUT="$(openssl crl -inform DER -in $infile -noout -text | grep $SERIAL)" 
if [ -n $OUTPUT ] 
then ((indicator++)) 
fi 
done 
echo $cert 
if [ $indicator == 0 ] 
then echo "not revoked" 
else 
echo "revoked" 
fi 
done